개인정보 처리방침
버전 1.0 · 시행일 (시행일 미정 — 법률 검토 후 확정)
본 문서는 법률 검토 전 초안입니다. 실제 서비스 개시 전 개인정보보호책임자 지정과 변호사 검토를 거쳐 확정됩니다.
1. 총칙
회사는 SpecQC(SmartQC·Q-Flow) 서비스를 제공하면서 「개인정보 보호법」을 준수합니다. 본 서비스는 이용자가 업로드한 기획서·설계 문서를 AI로 분석해 테스트 케이스를 생성합니다. 업로드 문서에 개인정보가 포함될 수 있으며, 이 경우 회사는 고객사의 지시에 따라 처리하는 수탁자 지위에 있습니다. 업로드 전 불필요한 개인정보를 제거해 주시기 바랍니다.
2. 처리하는 개인정보 항목
| 구분 | 항목 | 근거 |
|---|---|---|
| 필수 | 이메일, 이름, 비밀번호(해시) | 계약 이행 |
| 필수 | 소속 조직명, 청구용 이메일 | 요금 청구 |
| 선택 | 부서, Slack 사용자 ID, 메신저 ID | 알림 수신 |
| 자동 생성 | 접속 IP, User-Agent, 접속 일시 | 접속기록 보관 (법령상 의무) |
| 자동 생성 | 로그인 성공·실패·계정 잠금 이력 | 침해 탐지 |
| 자동 생성 | AI 사용량·비용, 조회·반출 기록 | 요금 산정, 접속기록 보관 |
결제 정보 — 회사는 카드번호를 저장하지 않습니다. 결제는 토스페이먼츠를 통해 이루어지며 재청구용 빌링키만 AES-256-GCM으로 암호화해 보관합니다.
3. 처리 목적
- 회원 식별·인증, 서비스 제공 및 계약 이행
- 테스트 케이스 자동 생성 등 AI 분석 기능 제공
- 요금 산정·청구·정산 및 세금계산서 발행
- 부정 이용 방지, 침해사고 대응, 접속기록 보관 (법령상 의무)
- (선택 동의 시) 서비스 소식·마케팅 정보 제공
4. 보유 및 이용 기간 (파기)
목적 달성 시 지체 없이 파기합니다. 매일 자동 파기 작업이 아래 기간을 집행합니다.
| 항목 | 보유기간 | 근거 |
|---|---|---|
| 회원 정보 | 회원 탈퇴 시까지 | 계약 이행 |
| 접속기록·감사로그 | 2년 | 「개인정보의 안전성 확보조치 기준」 제8조 |
| 세션·초대·비밀번호 재설정 토큰 | 만료 후 30일 | 목적 달성 |
| 기획서 분석 세션(문서 원문) | 90일 (조직별 설정 가능) | 최소 수집 원칙 |
| AI 사용 로그 | 5년 | 부가가치세법·전자상거래법 |
| 결함 스크린샷 파일 | 1년 | 목적 달성 |
| 결제·정산 기록, 세금계산서 | 5년 | 부가가치세법·전자상거래법 |
법령상 보존 의무가 있는 기록은 회원 탈퇴 후에도 해당 기간 보관되며, 다른 목적으로는 이용하지 않습니다.
5. 개인정보의 국외 이전
서비스는 AI 분석과 문서 연동을 위해 아래 사업자에게 개인정보를 국외로 이전합니다. 가입 시 이 항목에 대해 별도로 동의를 받습니다.
| 이전받는 자 | 국가 | 이전 항목 | 목적 | 시점·방법 |
|---|---|---|---|---|
| Anthropic PBC | 미국 | 업로드 문서 본문, Jira 이슈·댓글(작성자 표시명 포함), TC 본문 | AI 분석·TC 생성 | 이용자 요청 시 HTTPS API 전송 |
| Google LLC (Gemini) | 미국 | 위와 동일 (조직이 Gemini를 선택한 경우) | AI 분석·TC 생성 | 이용자 요청 시 HTTPS API 전송 |
| Google LLC (Sheets) | 미국 | TC 목록(QC·개발 담당자 이름 포함) | 스프레드시트 내보내기 | 이용자 요청 시 |
| Voyage AI | 미국 | TC 텍스트 | 중복 제거용 임베딩 | 이용자 요청 시 |
| Figma, Inc. | 미국 | 디자인 파일 데이터 | 디자인 분석 | 이용자 요청 시 (읽기) |
| Slack Technologies | 미국 | 알림 본문(담당자 이름 포함 가능) | 알림 발송 | 알림 설정 시 |
국외 이전 동의를 거부할 수 있으나, AI 분석이 서비스의 핵심 기능이므로 거부 시 서비스 이용이 제한됩니다.
6. 처리 위탁
| 수탁자 | 위탁 업무 |
|---|---|
| 토스페이먼츠 | 결제 처리·빌링키 관리 |
| 팝빌(링크허브) | 전자세금계산서 발행 |
| (클라우드 사업자) | 서버·데이터베이스 운영 |
7. 정보주체의 권리와 행사 방법
| 권리 | 행사 방법 |
|---|---|
| 열람 | 설정 → 개인정보 관리 → 내 개인정보 내려받기 |
| 정정 | 설정 → 프로필 수정 |
| 삭제·처리정지 | 설정 → 개인정보 관리 → 계정 삭제 요청 (요청 즉시 계정 비활성화 및 전 세션 종료) |
| 동의 철회 | 설정 → 개인정보 관리 → 동의 관리 (선택 항목) |
필수 동의 항목은 서비스 제공에 필요한 처리이므로 개별 철회 대신 계정 삭제 요청으로 갈음합니다.
8. 안전성 확보 조치
- 비밀번호는 일방향 해시(bcrypt)로 저장하며 복호화할 수 없습니다.
- 결제 빌링키는 AES-256-GCM으로 암호화하며, 전송 구간은 HTTPS(HSTS)입니다.
- 조직 단위 데이터 격리와 프로젝트 역할 기반 접근통제를 적용합니다.
- 로그인·권한 변경·개인정보 조회·대량 반출을 기록하고 2년간 보관합니다.
- 연속 로그인 실패 5회 시 15분 계정 잠금, 요청 속도 제한을 적용합니다.
- 의존성 취약점 자동 스캔과 커밋 전 비밀정보 검사를 운영합니다.
9. 개인정보 보호책임자
개인정보 보호책임자 및 열람청구 접수 부서는 서비스 개시 전 지정하여 본 방침에 게시합니다. 침해 신고·상담은 개인정보침해신고센터(118), 개인정보 분쟁조정위원회 (1833-6972), 경찰청 사이버수사국(182)에 하실 수 있습니다.
10. 처리방침의 변경
본 방침을 변경할 경우 시행 7일 전(중대한 변경은 30일 전)부터 서비스 내 공지하며, 로그인 시 재동의를 요청합니다.